Uma falha no cliente da biblioteca de código aberto Redis permitiu que os usuários visualizassem perguntas do histórico de busca de outros usuários do ChatGPT por um período de tempo. Além disso, a falha expôs informações pessoais de uma pequena porcentagem de assinantes do ChatGPT, tais como nome e sobrenome, e-mail associado ao pagamento, últimos quatro dígitos e data de expiração do cartão de crédito.

A OpenAI confirmou através de um comunicado que o incidente fez com que a empresa tivesse que suspender o serviço ChatGPT por um período de tempo até que a correção da falha e reestabelecimento do serviço.

Tudo começou no dia 20 de março quando os usuários no Twitter e Reddit começaram a relatar que seu histórico de perguntas mostrava buscas feitas por outros usuários. Em alguns casos, em outros idiomas.

Além do histórico de buscas, algumas pessoas também informaram que os endereços de e-mail de outros usuários apareceram na página de pagamento do ChatGPT Plus:

No caso dos dados de pagamento, assim como explicou a OpenAI, o vazamento dos dados afetou 1,2% dos assinantes ativos do ChatGPT Plus e, embora tenha confirmado que algumas das informações expostas incluíam os últimos quatro dígitos dos cartões de crédito, em nenhum caso houve a exposição completa dos números dos cartões.

A empresa por trás do ChatGPT disse ter contatado usuários afetados pela exposição das informações e assegurou que os dados pessoais dos usuários não estão mais em risco.

Quanto à correção da falha, a OpenAI não apenas confirmou que foi um bug no cliente da biblioteca Redis que causou esta exposição de dados, mas também enviou um patch para a equipe de manutenção da biblioteca para a correção da falha.

Vulnerabilidade que permite o sequestro de contas foi corrigida no ChatGPT

Além da falha que expôs as informações, Gal Nagli relatou à OpenAI uma vulnerabilidade que permite ataques de Web Cache Deception. Segundo a explicação de Nagli no Twitter, a vulnerabilidade, que desde então foi corrigida, permitiu o roubo de contas de terceiros, a visualização do histórico de buscas e o acesso aos detalhes de pagamento da conta.

ChatGPT é algo de cibercriminosos

Recentemente, destacamos uma série de golpes que estão circulado atualmente e utilizam o sucesso do ChatGPT. Entre os exemplos, mencionamos a descoberta de uma falsa extensão no Google Chrome chamada "Quick access to Chat GPT" que os cibercriminosos estavam utilizando para roubar contas no Facebook, que por sua vez eram utilizadas para criar bots e exibir propagandas maliciosas. Entretanto, esta não foi a única extensão maliciosa que utilizou o nome do ChatGPT, como os pesquisadores do Guardio revelaram na semana passada, descobriram uma nova variante da mesma extensão maliciosa que rouba contas da rede social. Neste caso, trata-se de uma versão trojanizada de uma extensão legítima chamada "ChatGPT for Google".

Como podemos ver, o ChatGPT é algo bastante interessante para os cibercriminosos, tanto para utilizar a ferramenta para fins maliciosos, como para se fazer passar pelo serviço e enganar pessoas desatentas. É provável que esta tendência continue e continuaremos vendo casos em que são feitas tentativas de explorar vulnerabilidades ou realizar golpes em nome do serviço.

Veja mais: